自從引入 GDPR 以來發生了什麼？

已發表: 2019-03-21

大約十個月前，2018 年 5 月 25日，《歐洲通用數據保護條例》生效。 在引入引起的巨大炒作之後，您可能想知道新法規是否產生了任何影響。 事實上，已經發生了很多事情，已經被處以罰款和警告，並且已經提起了許多訴訟。

為了讓您大致了解哪裡違反了數據保護問題，我們收集了基於 GDPR 的罰款、警告和未決訴訟。

基於 GDPR 的罰款

案例 1：竊取用戶數據——德國

聊天平台“Knuddels”遭到黑客攻擊，密碼、化名和電子郵件地址被盜，因為這些信息未加密存儲。 數據的未加密存儲對個人數據的保護不足。 這違反了 GDPR 要求的默認隱私和設計隱私原則。

本案的罰款金額為 20,000 歐元。
來源：竊取用戶數據——德國（德語）

案例 2：健康數據的公佈——德國

可能由於一個無意的錯誤，個人健康數據可以在線訪問。 （本案沒有進一步披露細節。）在本案中，同樣因為保護措施不足，違反了默認隱私和設計隱私原則。

這裡的罰款高達 80,000 歐元。
來源：健康數據的發布——德語（德語）

案例 3：Google 缺少/錯誤的用戶批准 – 法國

迄今為止對谷歌處以最高罰款。 該訴訟是在 GDPR 生效之日提起的。 在本案中，罰款是基於違反提供信息和透明度的義務以及使用個性化廣告缺乏法律依據。

在這種情況下，罰款金額為 50,000,000 歐元。
Quelle：谷歌缺乏用戶認可
CNIL（法國數據保護局）的官方通訊

自 GDPR 生效以來，德國共處以 41筆罰款，金額從 15,000 到 100,000 歐元不等。 罰款的理由有很多：

  • 一家酒店採取了不充分的技術和組織措施，不能排除信用卡或預訂系統中的其他客戶數據可能在遭受敲詐勒索的黑客攻擊時被洩露的可能性，
  • 由於內部控制機制不足，在互聯網上發布健康數據，
  • 人為錯誤：醫院向錯誤的患者披露健康數據，
  • 記錄不來梅州消防隊的所有呼出和呼入電話，
  • 使用網上銀行向未經授權的人披露賬戶報表，
  • 不可接受的廣告電子郵件，
  • 在黑客攻擊網店期間未經授權複製客戶數據，
  • 未經授權的行車記錄儀使用，
  • 一個開放的電子郵件通訊組列表，
  • 未經授權對客戶和員工進行視頻監控。

在歐洲，自 GDPR 生效以來，共處以 91筆罰款。

GDPR生效以來的注意與判斷

案例一：未加密的網站

維爾茨堡地區法院以 250,000 歐元的罰款威脅，禁止律師在未加密且沒有充分數據保護聲明的情況下使用她的網站。
來源：未加密的網站（德語）

案例 2：使用 Facebook 自定義受眾

巴伐利亞州數據保護辦公室禁止在線商店使用“Facebook 自定義受眾”。 該判決得到了“Verwaltungsgericht”和“Verwaltungsgerichtshof”的確認。 此處給出的原因是未經訪問者同意而使用個人數據。

來源： Facebook 自定義受眾的使用（德語）

因 GDPR 引發的未決訴訟

  • Instagram （比利時）：原因：信息不足以及強制、缺失或不充分的同意。
  • WhatsApp （漢堡）：原因：信息不足和強制、缺失或不充分的同意。
  • Facebook （奧地利）：原因：信息不足和強制、缺失或不充分的同意。
  • 奧地利：奧地利銀行收取 30 歐元來檢索客戶為該客戶存儲的個人數據。 法院裁定原告勝訴，隨後銀行向更高一級的法院，即聯邦行政法院提起上訴。 法院在此做出決定的原因是拒絕授予自由披露存儲的個人數據的權利。
  • 歐洲法院：針對使用美國-歐盟隱私盾（例如 Facebook）採取行動，因為根據美國法律，傳輸到美國的數據可能會被 NSA 攔截。
  • 英國和愛爾蘭：谷歌和 IAB因廣告中的實時競價 (RTB)而被起訴。 據原告稱，RTB 系統每天在未經用戶同意的情況下與其他系統共享數千億個個人數據點。 甚至“虐待、亂倫或艾滋病毒狀況”等敏感數據也會被共享。 據原告稱，IAB 事先知道其係統不符合 GDPR。 另一方面，谷歌試圖將義務轉移給展示廣告的網站，以獲得用戶同意。

資料來源：
https://noyb.eu/
https://mashable.com/article/gdpr-google-iab-complaint-evidence-update/?europe=true

自 GDPR 生效以來，已向歐洲數據保護機構報告了 59,000 多起數據洩露事件。 數據洩露報告數量最多的國家是荷蘭有 15,400 次數據洩露，德國有 12,600 次，英國有 10,600 次。 塞浦路斯有 35 份報告，冰島有 25 份，列支敦士登有 15 份是數據洩露最少的國家。

巴伐利亞州數據保護監督辦公室 (BayLDA) 已檢查了 40 個高影響力公司網站，以檢查它們在用戶同意和文檔方面是否符合 GDPR 。 40家公司網站均未正確執行獲取用戶同意和正確用戶信息的流程。 在這裡，也存在訴訟和警告的威脅。

正如您所看到的，在過去的十個月裡，數據保護領域發生了很多事情。 新的數據保護條例為用戶保護其個人數據提供了重要的法律依據。 因此，要求並建議公司遵守新的數據保護要求。

請記住，GDPR 和新要求也適用於向歐盟公民提供服務和產品的瑞士公司。